4.2.3. Le rôle des experts de sûreté : conseiller ou contrôler un projet ? A quel moment intervenir ?

Si dans un premier temps, la Commission a procédé à certaines régularisations des autorisations de piles déjà en fonctionnement, la sûreté de la pile Siloé est examinée en Commission à l'occasion de l'autorisation de construction, lors de la séance du 27 juin 1961.

La pile Siloé du Centre de Grenoble est une pile piscine destinée à l'irradiation de matériaux. Elle comporte comme principales caractéristiques de sûreté une enceinte étanche, résistant à une surpression de 20 cm d'eau, dont un essai d'étanchéité doit être fait à la réception, et un contrôle d'étanchéité effectué périodiquement. Par ailleurs, un système de ventilation maintenant le hall en dépression et équipé d'un filtre à iode est prévu. Le tableau de contrôle a été étudié par le Centre d'Etudes Nucléaires de Grenoble (CEN-G), en collaboration avec le Département d'Electronique. Le tableau de contrôle étant prévu en matériel «transistorisé», le Haut-Commissaire demande s'il n'y a pas lieu de maintenir au moins une chaîne de sécurité équipée en matériel électronique homologué, non transistoré. M. Bourgeois précise qu'une chaîne de sécurité transistorisée complète va être montée sur la pile Triton et sera éprouvée pendant un temps suffisant avant la mise en service de Siloé. Le Haut-Commissaire donne son accord au tableau transistorisé à condition que les essais d'endurance soient suffisants, en insistant sur le fait que dans le cas contraire, cela conduirait à retarder la mise en service de la pile, prévue pour le début de 1963.

M. Bourgeois examine ensuite l'accident maximum prévisible pour Siloé, montrant que les normes d'isolement en vigueur aux Etats-Unis sont «à peu près respectées». Il précise cependant que l'accident envisagé type «Borax» lui paraît trop sévère. Mais les piles piscines donnant lieu dans certaines conditions à des oscillations de puissance d'origine mal connue, la Sous-Commission de sûreté des Piles, en l'absence de résultats expérimentaux valables, adopte une position prudente et refuse, en l'état actuel des connaissances, de donner un avis favorable à certaines augmentations des puissances envisagées. Ces restrictions exposées, la Commission accorde l'autorisation de construction de la pile Siloé. Elle démarrera en 1963.

L'examen en vue de l'autorisation de la pile Pégase marque une nouveauté dans la prise en compte de la sûreté au CEA puisque, pour la première fois, des études de sûreté ont été effectuées avant le démarrage de la pile. Divers accidents ont été préalablement envisagés et leurs conséquences évaluées. ²⁶¹ Pégase est une pile piscine de forte puissance (30MW) destinée à tester en vraie grandeur les éléments combustibles des réacteurs à gaz. Construite sur le site de Cadarache à partir de 1960, Pégase a nécessité la construction d'une maquette critique du nom de Peggy, pour remédier à l'impossibilité de certains calculs neutroniques.

La sûreté de Pégase est examinée en mars 1963. M. de Vathaire énumère ²⁶² les études faites par le GTSP et la Sous-Commission de Sûreté des Piles sur les différents types d'accidents qui ont été étudiés. Deux types d'accidents sont considérés : les accidents de réactivité et les accidents de refroidissement. Les accidents de réactivité les plus dangereux s'avèrent être ceux consécutifs à une erreur de chargement ou à une erreur de pilotage. Pour les accidents de refroidissement, les conséquences d'un arrêt d'une ou plusieurs pompes principales ou celles d'une rupture de canalisation ont été étudiées. La présence d'une enceinte semi-étanche, la mise en dépression en régime normal, la présence d'une ventilation de secours avec filtres à iode sont prévues pour limiter à un maximum de 100 rem l'irradiation en cas d'accident grave. Le programme de démarrage est prévu en six étapes, selon trois paliers de puissance (3, 15 et 30 MW), d'abord sans boucles, puis avec des boucles d'extraction de chaleur conçues par EDF. La Commission accorde dans un premier temps une autorisation provisoire pour les essais sans boucles.

La question des responsabilités se pose alors : est-ce le concepteur, le constructeur ou le futur exploitant qui a la responsabilité de la pile pendant cette période intermédiaire des essais ? L'expérience de l'incident d'EL3 a été tirée. M. Horowitz, Directeur des Piles Atomiques ²⁶³ , précise que le Département de Construction des Piles (DCP) ne remettra la pile au Département des Piles Expérimentales (DPE, Section d'Exploitation Pégase) qu'après achèvement du programme de démarrage. Le DCP est donc responsable de la pile jusqu'à la fin de la période correspondante, le programme des essais étant établi par un Comité des Essais présidé par le DCP et comprenant des représentants du Département des Etudes de Piles (DEP) et du DPE. La Section d'Exploitation Pégase est chargée de faire exécuter, par son personnel, les opérations matérielles de ce programme, et sa responsabilité se limite de ce fait à l'exécution correcte de ce travail. Elle ne peut, de son propre chef, ni modifier le programme, ni introduire des essais non prévus, mais elle peut, à tout moment, s'opposer à une opération qui ne présenterait pas, selon elle, les conditions de sécurité désirables. En cas de litige, le Comité des Essais en référerait à la Direction des Piles.

L'autorisation de démarrage de la pile Pégase, avec boucles d'extraction de chaleur cette fois, est examinée lors de la séance suivante de la Commission ²⁶⁴ . C'est le fonctionnement de Pégase avec des boucles EDF qui est examiné car la mise au point des boucles CEA (boucles EL4) s'avère délicate. Divers points sont étudiés par la Sous-Commission : le circuit DRG pour lequel elle a demandé l'installation d'un filtre supplémentaire, la manœuvre des vannes dont l'examen a conduit à mettre au point des consignes d'exploitation plus rigoureuses, les soupapes de sûreté. Une discussion s'engage alors sur la conduite à tenir en cas d'incident sur une boucle. La teneur du débat témoigne du fait que la sûreté est une question de jugement, d'appréciation de divers paramètres, et qu'une décision ne s'impose pas de façon univoque, en particulier parce qu'une conception trop stricte de la sûreté peut nuire à la sûreté. En cas d'incident sur une boucle, les consignes prévoient qu'une alarme sur la DRG clignote sous les yeux du chef de quart qui doit retirer la boucle en cause et diminuer la puissance de la pile. Le Haut-Commissaire serait favorable à une chute des barres et à l'arrêt du réacteur, estimant que pendant toute la période de démarrage il faut tout faire pour éviter un incendie de cartouche qui entraînerait la mise hors d'usage plus ou moins prolongée des boucles. Pour M. Horowitz, étant donné le caractère plus thermique que d'irradiation de ces premières manipulations, les problèmes de produits de fission sont peu importants dans les boucles. Par contre on introduirait des cyclages gênants en imposant la chute des barres en cas d'incident. C'est pourquoi il serait favorable à des consignes plus nuancées. ²⁶⁵ M. Bourgeois estime quant à lui qu'il s'agit d'une question «complexe», sur laquelle seule l'expérience permettra de dégager une «philosophie» précise. Un ingénieur de la pile souligne qu'il existe une sécurité sur le manque de débit et le manque de pression qui entraîne la chute automatique des barres ; cette sécurité est donc située à la source-même des accidents possibles. Cette remarque recueille l'adhésion du Haut-Commissaire pour les consignes proposées. Ce dernier précise tout de même qu'il tient à ce que, dans cette période de démarrage, on fasse passer la finesse des expériences après la nécessité d'éviter les accidents.

L'étude des accidents possibles pour l'examen de la sûreté de Pégase avec boucles a été poursuivie : les accidents mécaniques sur les boucles, que ce soit l'effet d'un éclatement, l'éjection d'un bouchon ou la rupture des boucles par fatigue, ont donné lieu à des études confiées respectivement à la Pyrotechnie de Toulon, au Département de Construction de Piles du CEA, au Bureau Veritas. Des essais de surpression des boucles ont été menés à froid, conformément aux règles du Service des Mines, mais de l'avis de tous les membres de la commission, ces règles ne sont «pas adaptées» aux besoins particuliers de l'énergie atomique, où il serait plus judicieux de les mener à chaud. Un programme d'irradiation doit conduire à une estimation de la durée de vie des boucles d'un point de vue métallurgique, mais là encore, M. Bourgeois montre la difficulté d'avoir des expériences représentatives et de les interpréter correctement : on dispose d'un espace insuffisant pour placer les échantillons dans les «conditions réelles» d'irradiation des boucles, la dosimétrie est un «phénomène complexe», etc. Après examen des accidents thermiques, la Commission examine les conditions d'exploitation. Devant la difficulté de mise au point de consignes simples, devant les incertitudes sur certains phénomènes, le Haut-Commissaire demande qu'on dispose d'un ingénieur, en plus du chef de quart, qui soit responsable des mouvements d'approche des boucles. En tout dernier point, la commission se penche sur les règles à adopter en matière d'accès à la pile pour limiter le nombre de personnes admises dans le hall de la pile.

L'examen par la commission à ce stade préliminaire du projet montre tout le bénéfice que peut en tirer la sûreté. Les principes de conception sont jaugés, de même que les modalités de construction, la nature des essais de démarrage, la mise au point d'études complémentaires, les consignes d'exploitation ou encore la compétence des opérateurs. L'étude de certains accidents permet de vérifier la robustesse de l'installation. Les experts de sûreté sont bien en droit de souligner tout l'intérêt de mener les études de sûreté avant l'autorisation de fonctionnement. Vathaire estime même qu'il est encore plus intéressant que les ingénieurs de sûreté participent à l'avant-projet d'un réacteur. Il souligne en décembre 1964, lors de l'examen en vue de l'autorisation de construction de Célestin, que les premières études sur cette pile ont pu être suivies par le Groupe de Travail de Sûreté des Piles, ce qui a permis d'aborder l'étude des problèmes de sûreté dès le stade avant-projet. Il estime souhaitable de généraliser cette procédure pour les autres grands réacteurs, pour «éviter que les avis des Sous-Commission de sûreté n'interviennent tardivement et à un stade où il est difficile d'agir sur des travaux déjà avancés.» ²⁶⁶

Mais ne risque-t-on pas alors de mélanger les rôles : celui de l'expert et celui du projeteur ? Ce problème n'est soulevé par aucun des membres de la Commission. Le rôle de l'expert n'est pas conçu comme un contrôle extérieur au sens strict, mais comme une aide au projet, pour en améliorer la sûreté, le plus efficacement possible pour le projet. Et cette aide est d'autant plus efficace qu'elle intervient à un stade précoce. Les hommes de la sûreté du CEA théorisent même cette façon de fonctionner : les experts ne doivent pas être des juges lointains mais ils doivent apporter une contribution personnelle à la solution des problèmes de sûreté que se posent les équipes qui sont chargées de concevoir, construire et exploiter les installations. Les procédures d'examen doivent donc être souples, et le contact permanent entre ces équipes et les experts. L'instauration d'un contrôle extérieur, pourtant prévu dès 1960 dans l'organisation de la commission, ne sera mis sur pied qu'en 1967. Ce fonctionnement de l'expertise, prôné par les hommes du CEA au nom d'une plus grande efficacité pour la sûreté-même, sera de moins en moins accepté et sera dénoncé comme mélangeant juge et partie.